Λιανικό εμπόριο σε κίνδυνο: Οι κορυφαίες απειλές που αντιμετωπίζουν οι λιανοπωλητές αυτές τις γιορτές

Επιχειρησιακή ασφάλεια

Αν και μπορεί να είναι πολύ αργά για να εισαγάγετε χονδρικές αλλαγές στις πολιτικές ασφαλείας σας, δεν βλάπτει να ρίξετε μια νέα ματιά στο πού βρίσκονται οι μεγαλύτερες απειλές και ποιες βέλτιστες πρακτικές μπορούν να βοηθήσουν στην εξουδετέρωση τους

Φιλ Μάνκαστερ

Νοέμβριος 28 2023  •  , 6 λεπτό. ανάγνωση

Η περίοδος των εορταστικών αγορών έχει ξεκινήσει δυναμικά. Ενώ οι λιανοπωλητές επικεντρώνονται στο jockeying για εκτιμώμενες πωλήσεις 1.5 τρισεκατομμυρίων δολαρίων φέτος (και αυτό είναι μόνο για τις ΗΠΑ), η σκληρή δουλειά τους μπορεί να καταλήξει στο μηδέν, καθώς δεν δίνεται αρκετή προσοχή στην ασφάλεια στον κυβερνοχώρο. 

Γιατί; Επειδή αυτή είναι η καλύτερη εποχή και η χειρότερη εποχή για ομάδες λιανικής πληροφορικής. Η πιο πολυσύχναστη εποχή του χρόνου για τους πελάτες είναι επίσης α μαγνήτης για εγκληματίες του κυβερνοχώρου. Και ενώ μπορεί να είναι πολύ αργά σε αυτό το στάδιο για να εισαγάγετε χονδρικές αλλαγές στις πολιτικές ασφαλείας σας, δεν βλάπτει να ρίξετε μια νέα ματιά στο πού βρίσκονται οι μεγαλύτερες απειλές και ποιες βέλτιστες πρακτικές μπορούν να βοηθήσουν στην εξουδετέρωση τους.

Γιατί λιανική, γιατί τώρα;

Οι λιανοπωλητές έχουν εδώ και καιρό ξεχωρίσει για ειδική μεταχείριση από εγκληματίες στον κυβερνοχώρο. Και η πιο πολυσύχναστη περίοδος αγορών του έτους αντιπροσωπεύει εδώ και καιρό μια χρυσή ευκαιρία για απεργία. Μα γιατί?

• Οι έμποροι λιανικής διατηρούν προσωπικές και οικονομικές πληροφορίες για τους πελάτες τους με υψηλή δυνατότητα δημιουργίας εσόδων. Απλά σκεφτείτε όλα αυτά τα στοιχεία της κάρτας. Δεν αποτελεί έκπληξη το γεγονός ότι όλες (100%) οι παραβιάσεις δεδομένων λιανικής που αναλύθηκαν από Verizon κατά το παρελθόν έτος βασίστηκαν σε οικονομικό κίνητρο.
• Η περίοδος των εορταστικών αγορών είναι η πιο σημαντική περίοδος του χρόνου για τους λιανοπωλητές από την άποψη των εσόδων. Αλλά αυτό σημαίνει ότι είναι περισσότερο εκτεθειμένοι σε κυβερνοαπειλές όπως το ransomware ή η κατανεμημένη άρνηση παροχής υπηρεσιών (DDoS) που έχουν σχεδιαστεί για να εκβιάζουν χρήματα αρνούμενοι την υπηρεσία. Εναλλακτικά, οι ανταγωνιστές μπορεί να εξαπολύσουν επιθέσεις DDoS για να αρνηθούν στους ανταγωνιστές τους ζωτικής σημασίας έθιμο και έσοδα.
• Το ότι είναι η πιο πολυσύχναστη εποχή του χρόνου σημαίνει ότι οι εργαζόμενοι, ειδικά οι ομάδες IT, είναι περισσότερο επικεντρωμένοι στην υποστήριξη της επιχείρησης να αποκομίζει όσο το δυνατόν περισσότερα έσοδα παρά να αναζητούν απειλές στον κυβερνοχώρο. Μπορεί ακόμη και να τροποποιήσουν τα εσωτερικά φίλτρα απάτης για να επιτρέψουν την έγκριση μεγαλύτερων αγορών χωρίς έλεγχο.
• Οι έμποροι λιανικής βασίζονται ολοένα και περισσότερο σε ψηφιακά συστήματα για να δημιουργήσουν εμπειρίες εμπορίου σε όλα τα κανάλια, όπως επιχειρηματικό λογισμικό που βασίζεται σε cloud, συσκευές IoT εντός καταστήματος και εφαρμογές για κινητές συσκευές που απευθύνονται σε πελάτες. Με αυτόν τον τρόπο, επεκτείνουν (συχνά άθελά τους) την πιθανή επιφάνεια επίθεσης.

Ας μην ξεχνάμε ότι ένα από τα οι μεγαλύτερες καταγεγραμμένες παραβιάσεις δεδομένων στον κόσμο πραγματοποιήθηκε και ανακοινώθηκε κατά την περίοδο των εορτών το 2013, όταν χάκερ έκλεψαν 110 εκατομμύρια αρχεία πελατών από την αμερικανική εταιρεία λιανικής Target.

Ποιες είναι οι μεγαλύτερες απειλές στον κυβερνοχώρο για τους λιανοπωλητές αυτές τις γιορτές;

Όχι μόνο οι λιανοπωλητές πρέπει να υπερασπιστούν ένα μεγαλύτερο επιφάνεια επίθεσης, πρέπει επίσης να αντιμετωπίσουν μια ολοένα και μεγαλύτερη ποικιλία τακτικών, τεχνικών και διαδικασιών (TTP) από ένα καθορισμένο σύνολο αντιπάλων. Οι στόχοι των επιθετικών είναι είτε να κλέβουν δεδομένα πελατών και εργαζομένων, εκβιάζουν/διαταράσσουν την επιχείρησή σας μέσω DDoS, διαπράττουν απάτες ή χρησιμοποιούν bots για να αποκτήσουν ανταγωνιστικό πλεονέκτημα. Ακολουθούν μερικές από τις κύριες κυβερνοαπειλές λιανικής:

• Παραβιάσεις δεδομένων θα μπορούσε να προέρχεται από κλεμμένα/σπασμένα/ψαρεμένα διαπιστευτήρια υπαλλήλων ή εκμετάλλευση ευπάθειας, ειδικά σε εφαρμογές web. Το αποτέλεσμα είναι μεγάλη οικονομική και φήμη ζημιά που μπορεί να εκτροχιάσει τα σχέδια ανάπτυξης και τα έσοδα.
• Ψηφιακό skimming (δηλαδή, επιθέσεις Magecart) συμβαίνει όταν οι παράγοντες απειλών εκμεταλλεύονται τρωτά σημεία για να εισαγάγουν κώδικα skimming απευθείας στις σελίδες πληρωμής σας ή μέσω ενός τρίτου προμηθευτή λογισμικού/widget. Τέτοιες επιθέσεις είναι συχνά δύσκολο να εντοπιστούν, πράγμα που σημαίνει ότι θα μπορούσαν να προκαλέσουν ανείπωτη ζημιά στη φήμη. Αυτά αντιπροσώπευαν το 18% των παραβιάσεων δεδομένων λιανικής πέρυσι, σύμφωνα με Verizon.  
• ransomware είναι μία από τις κορυφαίες απειλές για τους λιανοπωλητές και κατά τη διάρκεια αυτής της πολυάσχολης σεζόν οι παράγοντες απειλών ενδέχεται να αυξήσουν τις επιθέσεις τους με την ελπίδα ότι περισσότερες επιχειρήσεις είναι έτοιμες να πληρώσουν για να πάρουν τα δεδομένα τους πίσω και να αποκρυπτογραφηθούν. Ειδικά οι μικρομεσαίες επιχειρήσεις βρίσκονται στο στόχαστρο, καθώς οι έλεγχοι ασφαλείας τους μπορεί να είναι λιγότερο αποτελεσματικοί.
• DDoS παραμένει ένας δημοφιλής τρόπος εκβιασμού και/ή ενοχλήσεων των λιανοπωλητών. Πέρυσι, ο τομέας βρισκόταν στο στόχαστρο σχεδόν το ένα πέμπτο (17%) αυτών των επιθέσεων – αύξηση 53% από έτος σε έτος (YoY), με κορυφές να σημειώνονται κατά τη διάρκεια της Black Friday.
• Επιθέσεις εφοδιαστικής αλυσίδας ίσως είναι που απευθύνεται σε ψηφιακό προμηθευτή όπως μια εταιρεία λογισμικού ή ακόμα και ένα αποθετήριο ανοιχτού κώδικα. Ή μπορεί να απευθύνονται σε πιο παραδοσιακές επιχειρήσεις σε επαγγελματικές ή ακόμα και υπηρεσίες καθαρισμού. Η παραβίαση του στόχου κατέστη δυνατή όταν χάκερ έκλεψαν τα διαπιστευτήρια δικτύου από έναν προμηθευτή HVAC.
• Εξαγορές λογαριασμού (ATO) συνήθως ενεργοποιούνται από κλεμμένα, phish ή σπασμένα διαπιστευτήρια. Θα μπορούσε να είναι η αρχή μιας μεγάλης απόπειρας παραβίασης δεδομένων ή θα μπορούσε να απευθύνεται σε πελάτες, σε γέμιση διαπιστευτηρίων ή άλλες καμπάνιες ωμής βίας. Συνήθως, χρησιμοποιούνται κακόβουλα bots εδώ.
• Άλλες κακές επιθέσεις bot περιλαμβάνουν το scalping (όπου οι ανταγωνιστές αγοράζουν αγαθά σε ζήτηση για μεταπώληση σε υψηλότερη τιμή), την απάτη πληρωμής/δωροκάρτας και την απόξεση τιμών (επιτρέποντας στους ανταγωνιστές να μειώσουν τις τιμές σας). Τα κακόβουλα ρομπότ περιλαμβάνουν γύρω από το 30% όλης της κυκλοφορίας στο Διαδίκτυο σήμερα, με τα δύο τρίτα των ιστοσελίδων του Ηνωμένου Βασιλείου δεν μπορεί να αποκλείσει ακόμα και απλές επιθέσεις. Εκεί ήταν περίπου 50% αύξηση σε κακή επισκεψιμότητα bot την εορταστική περίοδο του 2022.
• APIs (Application Programming Interface) βρίσκονται στο επίκεντρο του ψηφιακού μετασχηματισμού λιανικής, επιτρέποντας πιο συνδεδεμένες και απρόσκοπτες εμπειρίες πελατών. Αλλά τα τρωτά σημεία και οι εσφαλμένες διαμορφώσεις μπορούν επίσης να παρέχουν ένα εύκολη διαδρομή για τους χάκερ στα δεδομένα πελατών.

Πώς οι έμποροι λιανικής μπορούν να αμυνθούν έναντι των κινδύνων στον κυβερνοχώρο

Σε απάντηση, οι λιανοπωλητές πρέπει να εξισορροπήσουν την ασφάλεια με την παραγωγικότητα των εργαζομένων και την ανάπτυξη των επιχειρήσεων. Αυτός δεν είναι πάντα εύκολος υπολογισμός, ειδικά με το υψηλό κόστος ζωής να ασκεί ολοένα μεγαλύτερη πίεση στην αναζήτηση κέρδους. Αλλά μπορεί να γίνει. Ακολουθούν 10 βέλτιστες πρακτικές που πρέπει να λάβετε υπόψη:

• Τακτική εκπαίδευση προσωπικού: Αυτό πρέπει να είναι αυτονόητο. Βεβαιωθείτε ότι σας Οι εργαζόμενοι μπορούν να εντοπίσουν ακόμη και εξελιγμένες επιθέσεις phishing και θα έχετε μια βολική τελευταία γραμμή άμυνας στη θέση του.
• Έλεγχος δεδομένων: Κατανοήστε τι έχετε, πού είναι αποθηκευμένο, πού ρέει και πώς προστατεύεται. Αυτό θα πρέπει να γίνει σε κάθε περίπτωση ως μέρος της συμμόρφωσης με τον GDPR.
• Ισχυρή κρυπτογράφηση δεδομένων: Αφού ανακαλύψετε και ταξινομήσετε τα δεδομένα σας, εφαρμόστε ισχυρή κρυπτογράφηση στις πιο ευαίσθητες πληροφορίες. Αυτό πρέπει να γίνεται σε συνεχή βάση.
• Διαχείριση ενημερώσεων κώδικα με βάση τον κίνδυνο: Η σημασία της ενημέρωσης κώδικα λογισμικού δεν μπορεί να υποτιμηθεί. Αλλά ο τεράστιος αριθμός των νέων ευπαθειών που δημοσιεύονται κάθε χρόνο μπορεί να είναι συντριπτικός. Τα αυτοματοποιημένα συστήματα που βασίζονται στον κίνδυνο θα πρέπει να συμβάλλουν στον εξορθολογισμό της διαδικασίας και στην ιεράρχηση των πιο σημαντικών συστημάτων και τρωτών σημείων.
• Πολυεπίπεδη προστασία προστασίας: Εξετάστε τις δυνατότητες προστασίας από κακόβουλο λογισμικό και άλλες δυνατότητες σε διακομιστή, τελικό σημείο, δίκτυο ηλεκτρονικού ταχυδρομείου και επίπεδο cloud, ως προληπτικό εμπόδιο για τις απειλές στον κυβερνοχώρο.
• XDR: Για απειλές που καταφέρνουν να παρακάμψουν τους προληπτικούς ελέγχους, βεβαιωθείτε ότι υπάρχει ισχυρή εκτεταμένη ανίχνευση και απόκριση (XDR) που λειτουργεί σε πολλαπλά επίπεδα, συμπεριλαμβανομένης της υποστήριξης αναζήτησης απειλών και απόκρισης συμβάντων.
  
• Ασφάλεια εφοδιαστικής αλυσίδας: Ελέγξτε όλους τους προμηθευτές, συμπεριλαμβανομένων των ψηφιακών συνεργατών και των πωλητών λογισμικού, για να βεβαιωθείτε ότι η στάση ασφαλείας τους είναι σύμφωνη με την όρεξή σας για κινδύνους.
• Ισχυροί έλεγχοι πρόσβασης: Οι διαχειριστές κωδικών πρόσβασης για ισχυρούς, μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας πολλαπλών παραγόντων είναι απαραίτητοι για όλους τους ευαίσθητους λογαριασμούς. Μαζί με το XDR, την κρυπτογράφηση, τον διαχωρισμό δικτύου και τους προληπτικούς ελέγχους αποτελούν τη βάση του α Προσέγγιση ασφάλειας Zero Trust.
• Ανάκαμψη καταστροφών/Σχεδιασμός επιχειρηματικής συνέχειας: Η επανεξέταση των σχεδίων θα βοηθήσει να διασφαλιστεί ότι υπάρχουν οι κατάλληλες επιχειρηματικές διαδικασίες και τα κατάλληλα εργαλεία τεχνολογίας.
• Σχεδιασμός αντιμετώπισης περιστατικών: Βεβαιωθείτε ότι τα σχέδιά σας είναι στεγανά και ελέγχονται τακτικά, ώστε κάθε ενδιαφερόμενος να γνωρίζει τι να κάνει σε ένα σενάριο χειρότερης περίπτωσης και να μην χάνεται χρόνος για την αντιμετώπιση και τον περιορισμό μιας απειλής.

Για τη συντριπτική πλειονότητα, αν όχι για όλους, τους λιανοπωλητές, η συμμόρφωση με το PCI DSS θα είναι επίσης απαραίτητη προϋπόθεση για τις επιχειρήσεις. Θεωρήστε αυτό μια ευκαιρία και όχι ένα βάρος. Οι λεπτομερείς απαιτήσεις του θα σας βοηθήσουν να δημιουργήσετε μια πιο ώριμη στάση ασφαλείας και να ελαχιστοποιήσετε την έκθεση στον κίνδυνο. Τεχνολογίες όπως η ισχυρή κρυπτογράφηση μπορούν επίσης να συμβάλουν στη μείωση του κόστους και του διοικητικού φόρτου της συμμόρφωσης. Καλές διακοπές.